Linux Mint 的软件包在提交给软件管理员之前是否经过任何形式的手动审核？
我问这个问题是因为像discord这样需要多次下载的应用程序只有53条评论，而像Rider这样的应用程序只有2条评论。是否有人调查这个软件包，并验证它们确实来自正确的来源并且不是木马？
答案1
评论与安全无关，这不是人气竞赛。包维护者从应用程序源代码存储库（如 github、gitlab、sourceforge 等）获取他们创建的包的源代码。
Mint 的软件包有 3 个主要来源，首先是 Debian sid 软件包池，Ubuntu 在构建下一个 ubuntu 时从中获取许多软件包。其次，Ubuntu 制作了许多自己的软件包。第三，Mint 也创建了一些自己的软件包。
在从随机和各种来源安装程序（又称软件包）时，您可能会感到困惑的是 Windows 完全缺乏安全性，安装软件的人通常对谁在创建可执行文件、谁在分发它等知之甚少GNU/Linux 软件包存储库中不存在这些问题，您知道谁创建了软件包，是经过批准的打包者，他们受到 Debian（成为官方 Debian 打包者相当困难）、Ubuntu（同样，成为 .主要的 Ubuntu 打包器并不容易），最后是 Mint，我对他们如何控制打包器不太了解。我认为或多或少与 Ubuntu 类似。
打包器，无论包管理器类型如何，apt、pacman、ports，无论如何，都大致相同，转到项目主源代码存储库，并且一般来说，从存储库中克隆拉取，并使用构建他们的包的代码。
该软件包在通过发行版软件包测试协议（Debian 是我所知道的所有发行版中最严格的）后，将被发送到发行版软件包池，进行测试和调试（这就是 Debian sid 的软件包池的用途，查找和调试修复现有软件包新引入版本的错误）。这是由一个系统控制的，该系统只允许签名/安全许可的包进入包池，并且是通过安全通道完成的。
我想说的是，您相信 GUI 包管理器中的包的评论数量（我假设这就是您看到的地方，因为“评论”本身实际上并不存在于我曾经使用过的任何包管理器中）接触），与打包器、包或包池完全无关，绝对为零，这表明您可能对安全性实际上是什么有一些基本的困惑。
这个严格控制链的过程，例如在 github 的情况下，ssl/ssh 连接到 github，程序作者通过安全系统提交对 github 存储库的更改，github 控制源代码，然后分发打包程序获取该源代码代码，使用同样安全的通道，构建包，然后将其提交给分发包池管理器，在 Debian 中是“ftp master”，在其中进行验证，使用包哈希来验证提交的包与原始包是否相同包，然后它进入池，在那里它被本地系统（比如你的计算机）抓取，并由其包管理器使用，包管理器还将验证包的签名（我相信它确实如此，非常确定），然后安装它。
现在，显然，如果您安装随机的第 3 方存储库（在 Ubuntu 及其 PPA 或 Arch Linux 及其 AUR 中很常见），那么安全性就会直线下降，因为您对该特定人员及其技术和安全能力的控制要少得多，但即使在那里，一般来说，我也会通过随机的 Windows 下载和安装 .exe 文件获取 AUR 包（通常直接从 git 源创建），您对它的沿袭、传输链或任何东西的了解精确为零别的。
因此，您在这里担心的问题实际上是首先使用 Linux 的最佳原因之一，并跳过诸如 snap、Flatpak 或其他尽可能绕过整个安全和控制系统的软件包安装程序，除非它们也来自主要经过验证和已知的可靠来源，这使得它们更类似于 Windows .exe 或 Apple .dmg 文件，而不是由打包程序为发行版创建的 Linux 或 BSD 包。
如果您担心安全性，那么由经过验证的软件包维护者创建软件包的发行版运行的软件包管理器是使用 Linux 的首要原因之一。我可以想象，人气竞赛和投票将是验证安全性的最糟糕的方式之一。
请记住，在严格的技术层面上，这适用于创建可安装的二进制文件 .exe 的任何方法。 .dmg、.deb、.tcz 等等，最大的风险是存储库本身受到损害，例如，某人获得了存储库的写入权限，然后将恶意代码推送到项目中，而没有人意识到已经发生了这种情况。这对于所有代码（从 Microsoft/Apple 生成的代码，到 github、gitlab 等上的任何代码）来说都是风险。但是使用 git 这样的版本控制系统，可以检测并纠正这些更改，因为它们会在提交历史记录中留下痕迹。但这与二进制文件的创建方式和该二进制文件的安装程序方法无关。
在 Windows/Apple 系统中，使用基于 .exe/.dmg 的安装程序，这种风险要高得多，因为用户一般没有能力知道下载源是否合法，没有办法或了解让他们验证已知良好的哈希值，通常只需单击安装程序，单击弹出的“确定”即可在 Windows 中安装对话框，然后愉快地将木马增强可执行文件安装到 Windows 中，甚至从未意识到他们这样做了，或者他们的系统是现在完全妥协了。同样，这是不使用 Windows、不使用随机下载和安装 .exe 文件、绕过安装程序包含的所有过时、过时和不安全的 .dll 的原因（再次与 snap 或 flatpak 非常相似）。
Linux 包管理器会为您处理所有这一切，事实上，很难想象有一个更安全的开箱即用系统可供一般使用，这使得通过 snap 或 flatpak 安装臃肿的不安全 blob 的趋势如此令人不安，尤其是如果您完全担心安全问题。